Wat een ISO 27001-audit in de praktijk van je vraagt

Wij zijn zelf ISO/IEC 27001:2023 gecertificeerd en gaan jaarlijks door de audit. Dat maakt onze adviezen concreter dan een norm-samenvatting: we weten waar het schuurt, omdat het bij ons ook heeft geschuurd.

Auditors toetsen de werkelijkheid, niet je map

De grootste misvatting is dat een audit een documentcontrole is. Een auditor leest je beleid en gaat daarna kijken of het klopt. Staat er dat je maandelijks patcht, dan wil hij dat zien in het beheersysteem. Staat er dat nieuwe medewerkers een introductie krijgen, dan vraagt hij om het laatste voorbeeld.

Daaruit volgt een praktische regel: schrijf niets op wat je niet doet. Een korter beleid dat klopt levert minder bevindingen op dan een uitgebreid beleid dat je niet naleeft.

Waar vrijwel altijd op wordt doorgevraagd

Vier onderwerpen komen in elke audit terug, en het zijn precies de onderwerpen die verwateren als niemand ze bijhoudt:

• Toegangsbeheer. Wie heeft welke rechten, en waarom? Beheeraccounts krijgen extra aandacht.
• Offboarding. Zijn de rechten van vertrokken medewerkers ingetrokken, en kun je dat aantonen per persoon?
• Leveranciersbeheer. Welke partijen raken je data, welke afspraken liggen er, en wie beoordeelt die?
• Incidenten. Wat is er gebeurd, wat heb je eraan gedaan en wat is er structureel verbeterd?

Laat vastlegging uit het werk komen

Wat bij ons het meeste verschil maakte: stop met documenten bijhouden die naast het werk staan. Onze onderbouwing komt uit het ticketsysteem, de monitoring en de patchrapportages. On- en offboarding loopt via een vaste checklist die per medewerker wordt afgetekend.

Dan is de voorbereiding op een audit een kwestie van exporteren, in plaats van een week dossiers reconstrueren.

De directiebeoordeling is geen formaliteit

Op papier is dit een periodieke vergadering. In de praktijk is het de enige plek waar iemand met mandaat besluit dat een risico wordt geaccepteerd of aangepakt. Auditors zien direct of het een echte discussie was of een afvinkmoment.

Wat helpt: een vaste agenda met incidenten, risicowijzigingen, auditbevindingen, en de vraag of de maatregelen nog passen bij wat de organisatie doet.

Wat het oplevert buiten het certificaat

Voor ons is het effect vooral operationeel: minder verrassingen, snellere onboarding van nieuwe engineers en een duidelijker verhaal richting klanten. En sinds NIS2 heeft het een tweede functie: klanten die hun leveranciersketen moeten beoordelen, kunnen bij ons volstaan met het certificaat en een paar vragen.